Cyber-allarme mondiale per PHP2Shell: due falle critiche mettono a rischio il 70% del web

22/10/2026 ECONOMIA Condividi Preferisci Informazione.News su Google

Redazione Economia   -   Due vulnerabilità scoperte nel cuore di PHP, il linguaggio di programmazione su cui poggia una porzione vastissima del web, hanno innescato una reazione a catena a livello globale. Il difetto, battezzato PHP2Shell, consente a un attaccante di eseguire codice dannoso sui server senza bisogno di autenticarsi, prendendo di fatto il controllo delle macchine. La scoperta è arrivata grazie all'impiego di strumenti di intelligenza artificiale nel quadro di un programma di ricerca congiunto che ha coinvolto le società di sicurezza Calif e Wiz, la PHP Foundation e OpenAI.

Stando alle stime riportate dagli esperti, la tecnologia interessata muove circa il 70% dei siti internet censiti.

L'allerta tedesca e la scala del rischio

A dare la misura della gravità ci ha pensato l'Agenzia federale tedesca per la sicurezza della tecnologia dell'informazione, la BSI, che ha classificato la situazione con il livello «3 / Arancione», definendola «estremamente elevata». Non si tratta di un avvertimento di routine: nella scala adottata dall'authority, quel grado impone l'adozione immediata di contromisure per scongiurare ripercussioni pesanti sulla normale operatività dei sistemi.

Il problema risiede in due distinte falle nella gestione della memoria da parte dell'interprete, registrate con le sigle CVE-2026-109618 e CVE-2026-109619. La prima ha a che vedere con il modo in cui il software tratta una richiesta interrotta mentre le strutture dati interne sono ancora parzialmente inizializzate; la seconda riguarda uno stato globale che rimane agganciato alla memoria anche dopo che questa è stata liberata. Entrambe aprono la strada a esecuzioni remote non autorizzate.

Servizi sospesi tra Germania e Svizzera

Davanti alla minaccia, diversi enti pubblici non hanno atteso l'evolversi della situazione. Come riferito dall'agenzia DPA, alcuni Stati federali tedeschi, diversi Comuni e varie autorità hanno seguito alla lettera la raccomandazione della BSI, disattivando temporaneamente i propri portali e i servizi online per non offrire superfici d'attacco. La misura ha riguardato anche realtà universitarie e ospedaliere.

Oltre confine, in Svizzera, la piattaforma LODUR, impiegata nella gestione di numerosi corpi di pompieri, è finita fuori servizio: l'Ufficio cantonale del fuoco del Vallese ha fatto sapere che il fornitore ha deciso di mettere i propri server offline per precauzione. Gli utenti non possono al momento accedere ai dati registrati né apportare le consuete modifiche ai gruppi di allarme, anche se la sospensione non implica necessariamente che i dispositivi di attivazione degli allarmi siano a loro volta fermi.

Le versioni corrette e le misure tampone

Il team di sviluppo del linguaggio ha pubblicato le release che chiudono le falle: si tratta di PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35. L'aggiornamento, tuttavia, non è una bacchetta magica se non viene accompagnato da un riavvio completo dei processi attivi, perché i binari rimasti in esecuzione continuano a girare con il codice vulnerabile.

Per chi non può installare subito la correzione, sono state indicate alcune contromisure temporanee, come il blocco a livello di server web delle richieste con intestazione multipart/form-data e l'azzeramento del limite di memoria gestibile dall'applicazione, ma si tratta di paliativi che riducono l'esposizione senza eliminarla del tutto. Le versioni precedenti alla 8.2, ormai fuori dal ciclo di supporto ufficiale, restano prive di una patch diretta e richiedono una valutazione caso per caso da parte dei distributori.